CVE-2026-54886

إصدارات Erlang OTP من 17.0 إلى 29.0.3

إصدار Erlang OTP 28.5.0.3

إصدار Erlang OTP 27.3.4.14

توجد حلقة تكرارية لا نهائية في وحدة ssh sftpd التابعة لـ Erlang OTP. يمكن لمستخدم SFTP تمت مصادقته أن يتسبب في جعل قناة SFTP غير مستجيبة بشكل دائم عن طريق إرسال SSH MSG CHANNEL EXTENDED DATA برمز نوع غير صفر، ومخزن مؤقت فارغ، وحمولة ضمن حدود حجم حزمة SFTP. يؤدي ذلك إلى تشغيل حلقة تكرارية ذيلية في الدالة handle data()، مما يتسبب في توقف العملية عن معالجة الرسائل ويؤدي إلى نمو غير محدود لذاكرة قائمة انتظار الرسائل واستهلاك مرتفع لموارد وحدة المعالجة المركزية (CPU). ويكون التأثير هو حدوث رفض الخدمة على قنوات SFTP المستهدفة. ويمكن أن يتفاقم هذا التأثير إذا تم تعيين الإعداد max channels على اللانهاية، مما يسمح لمستخدم واحد بفتح عدد غير محدود من القنوات.

تحديث Erlang OTP إلى إصدار أحدث من 29.0.3 و28.5.0.3 و27.3.4.14.

اضبط خيار الخدمة max channels على قيمة محدودة للحد من عدد القنوات لكل اتصال.

اضبط خيار الخدمة max sessions للحد من إجمالي اتصالات SSH المتزامنة.

استخدم مراقبة العمليات الخارجية لتحديد وإنهاء عمليات ssh sftpd التي تظهر أعدادًا عالية من عمليات الاختزال وقوائم انتظار الرسائل المتزايدة.

قم بتقييد الوصول إلى منفذ خادم SFTP على الأجهزة الموثوق بها فقط.